Guide complet EASA Part-IS : la cybersécurité aéronautique

Le Part-IS (Information Security) impose aux organismes et aux autorités aéronautiques de gérer les risques liés à la sécurité de l’information qui peuvent avoir un impact sur la sécurité aérienne. La sécurité de l’information y est définie comme la préservation de la confidentialité, de l’intégrité, de l’authenticité et de la disponibilité des réseaux et des systèmes d’information.

Deux règlements, deux échéances

Les exigences clés

• Un système de management de la sécurité de l’information (ISMS), intégré au système de management existant.
• L’évaluation des risques : identifier les actifs et interfaces critiques et les scénarios pouvant affecter la sécurité aérienne.
• Le traitement des risques : mesures techniques et organisationnelles proportionnées.
• La détection, la réponse et le rétablissement en cas d’incident.
• Le signalement des incidents significatifs à l’autorité compétente.
• Le personnel : compétences, sensibilisation et responsabilités définies.
• Le manuel ISMS, la gestion des sous-traitants et l’amélioration continue.

Part-IS et ISO 27001

Les organismes déjà alignés sur l’ISO 27001 disposent d’une bonne base, mais elle ne suffit pas : le Part-IS exige un lien explicite avec la sécurité aérienne, des règles de signalement à l’autorité et une intégration au système de management aéronautique.

Par où commencer ?

• Désigner les responsables et obtenir l’engagement de la direction.
• Inventorier les systèmes d’information liés à la sécurité : gestion de la maintenance, navigabilité, préparation des vols, formation.
• Conduire l’analyse de risques et définir les mesures.
• Rédiger les procédures et former le personnel.